Siber güvenlik, Avrupa ürün mevzuatında yeni bir döneme giriyor. Avrupa Birliği Siber Dayanıklılık Tüzüğü kapsamında siber güvenlik artık yalnızca bir bilgi teknolojileri konusu veya isteğe bağlı bir ürün özelliği değildir. Avrupa Birliği pazarına arz edilen çok çeşitli donanım ve yazılım ürünleri açısından temel bir ürün uygunluğu gerekliliği hâline gelmektedir.
(AB) 2024/2847 sayılı Tüzük, dijital unsurlar içeren ürünler için yatay siber güvenlik gereklilikleri getirerek siber güvenlik risk değerlendirmesini, güvenli ürün geliştirmeyi, güvenlik açığı yönetimini, teknik dokümantasyonu ve uygunluk değerlendirmesini dijital ürünlerin mevzuata ilişkin yaşam döngüsüne dâhil etmektedir.
Bu durum; Avrupa’ya bağlantılı ürünler sağlayan üreticiler, yazılım üreticileri, ithalatçılar, dağıtıcılar ve kuruluşlar açısından önemli bir gelişmedir.
Siber Güvenlik Bir Ürün Uygunluğu Gerekliliğine Dönüşüyor
Avrupa’da ürün uygunluğu geleneksel olarak elektriksel güvenlik, makine güvenliği, elektromanyetik uyumluluk, basınçlı ekipmanlar ve mevzuata tabi diğer ürün özellikleri gibi alanlarla ilişkilendirilmiştir.
Siber Dayanıklılık Tüzüğü, bu mevzuat yaklaşımını siber güvenlik alanına da güçlü biçimde taşımaktadır.
Tüzük kapsamındaki ürünlerin üreticilerinin, siber güvenliğin ürünün planlama, tasarım, geliştirme, üretim, teslimat ve bakım aşamalarının tamamında sistematik olarak dikkate alındığını giderek daha fazla kanıtlamaları gerekecektir.
Siber güvenlik, öncelikle kurum içi teknik bir işlev olarak ele alınmak yerine, ürün uygunluğunu ve Avrupa pazarına erişimi destekleyen kanıtların bir parçası hâline gelmektedir.
Avrupa Birliği Siber Dayanıklılık Tüzüğü Nedir?
Siber Dayanıklılık Tüzüğü, (AB) 2024/2847 sayılı Tüzüktür ve dijital unsurlar içeren ürünlere yönelik yatay siber güvenlik gerekliliklerini düzenlemektedir.
Amacı, Avrupa Birliği pazarında sunulan çok çeşitli donanım ve yazılımlar için ortak bir siber güvenlik çerçevesi oluşturmaktır.
Bir dijital unsurlar içeren ürün ; Tüzükte belirlenen kapsam ve istisnalara tabi olmak üzere, uzaktan veri işleme çözümleriyle birlikte bir yazılım veya donanım ürününü ve ayrıca piyasaya ayrı olarak arz edilen yazılım veya donanım bileşenlerini içerebilir.
Tüzüğün kapsamı geleneksel siber güvenlik ürünlerinin çok ötesine uzanmaktadır. Bağlantılı endüstriyel ekipmanlar, ağ cihazları, yazılımlar, akıllı cihazlar, nesnelerin interneti ürünleri ve dijital özelliklere sahip daha birçok ürün mevzuat çerçevesine girebilir.
Hangi Ürünler Etkilenebilir?
Tüzüğün kapsamı bilinçli olarak geniş tutulmuştur; çünkü dijital işlevler artık çağdaş ürünlerin ve altyapının tamamına yayılmış durumdadır.
Özelliklerine ve kullanım amaçlarına bağlı olarak etkilenen ürünler şunları içerebilir:
Bu nedenle uygulanabilirlik, yalnızca üreticinin sektör sınıflandırmasına dayanılarak varsayılmak yerine ürün düzeyinde değerlendirilmelidir.
Üreticinin Sorumlulukları Genişliyor
Siber Dayanıklılık Tüzüğü üreticilere önemli sorumluluklar yüklemektedir.
Üretici, dijital unsurlar içeren bir ürünü tasarlarken, geliştirirken ve üretirken uygulanabilir temel siber güvenlik gerekliliklerinin karşılanmasını sağlamalıdır.
Bu sürecin önemli temellerinden biri siber güvenlik risk değerlendirmesidir.
Bu değerlendirme, uygulanabilir siber güvenlik gerekliliklerinin ürün yaşam döngüsü boyunca nasıl uygulanacağını yönlendirir ve ürünün teknik uygunluk dokümantasyonunun bir parçası hâline gelir.
Ürünü, dijital unsurlarını, kullanım amacını ve öngörülebilir kullanım biçimini tanımlayın.
Ürünle ilişkili tehditleri, güvenlik açıklarını ve olası sonuçları belirleyin.
Hangi siber güvenlik gerekliliklerinin uygulanacağını ve bunların nasıl karşılanacağını belirleyin.
Ürün mimarisi ve yaşam döngüsü genelinde uygun siber güvenlik önlemlerini uygulayın.
Uygulamayı kanıtlayan test, doğrulama ve teknik kanıtları oluşturun.
Piyasaya arz sonrasında güvenlik açığı yönetimini, güncellemeleri ve mevzuata ilişkin bildirimleri sürdürün.
Tasarımdan İtibaren Güvenlik ve Varsayılan Güvenlik
Tüzüğün temel ilkelerinden biri, siber güvenliğin ürün piyasaya ulaştıktan sonra eklenmesi yerine ürün geliştirme sürecinde dikkate alınmasıdır.
Dijital unsurlar içeren ürünler, belirlenen risklere dayalı uygun bir siber güvenlik düzeyi sağlayacak şekilde tasarlanmalı, geliştirilmeli ve üretilmelidir.
Ürüne ve uygulanabilir gerekliliklere bağlı olarak bu yaklaşım; güvenli yapılandırmalar, erişim kontrolü, verilerin gizliliği ve bütünlüğü, saldırı yüzeyinin azaltılması, dayanıklılık, güvenlik izlemesi ve güvenlik açıklarının giderilmesiyle ilgili hususları içerebilir.
Siber Güvenlik Risk Değerlendirmesi Merkezi Bir Unsur Hâline Geliyor
Tüzük, üreticilerin kapsam dâhilindeki ürünler için siber güvenlik risk değerlendirmesi yapmasını gerektirmektedir.
Bu değerlendirme, ürün piyasaya sunulmadan hemen önce hazırlanan bağımsız bir belge olarak ele alınmamalıdır.
Ürün yaşam döngüsünün ilgili aşamalarındaki kararlara yön vermelidir.
- ürünün kullanım amacı ve makul ölçüde öngörülebilir kullanımı;
- ürünün mimarisi ve dijital arayüzleri;
- olası siber güvenlik tehditleri ve saldırı senaryoları;
- bilinen ve öngörülebilir güvenlik açıkları;
- üçüncü taraf donanım ve yazılım bileşenleri;
- uzaktan hizmetler ve veri işleme bağımlılıkları;
- siber güvenliğin ihlal edilmesinin olası sonuçları; ve
- belirlenen riskleri azaltmak için uygulanan kontroller.
Siber Dayanıklılık Tüzüğü kapsamında siber güvenlik, yalnızca geliştirme sonunda test edilecek bir özellik değildir. Tasarımdan piyasa sonrası desteğe kadar dikkate alınması gereken bir ürün yaşam döngüsü uygunluk gerekliliğine dönüşmektedir.
Güvenlik Açığı Yönetimi Ürün Satıldığında Sona Ermez
Siber Dayanıklılık Tüzüğünün en önemli özelliklerinden biri yaşam döngüsü yaklaşımıdır.
Üreticilerin, ürünlerini etkileyen güvenlik açıklarını belirlemek, belgelemek, gidermek ve bildirmek için süreçler oluşturması beklenmektedir.
Bu nedenle güvenlik açığı yönetimi, piyasa öncesinde bir kez gerçekleştirilen bir çalışma yerine sürekli bir ürün uygunluğu faaliyetine dönüşmektedir.
Siber güvenlik zafiyetlerini tespit etmek ve bunlara ilişkin bilgi almak için süreçler oluşturun.
Etkilenen ürünler üzerindeki ciddiyeti, istismar edilebilirliği ve olası etkiyi değerlendirin.
Uygun düzeltmeleri, yamaları veya güvenlik güncellemelerini geliştirin ve uygulayın.
Kullanıcılara, müşterilere ve ilgili taraflara uygun güvenlik bilgilerini sağlayın.
Tüzük yükümlülüklerine tabi olaylar ve güvenlik açıkları için üst mercilere iletme ve bildirim süreçlerini sürdürün.
Güvenlik açığı yönetimi sorumluluklarının uygulanabilir destek süresi boyunca devam etmesini sağlayın.
Siber Güvenlik CE İşaretlemesinin Bir Parçası Hâline Geliyor
Tüzüğün en önemli sonuçlarından biri, siber güvenliğin Avrupa ürün uygunluğu çerçevesine dâhil edilmesidir.
Üretici, kapsama giren dijital unsurlar içeren bir ürünü Avrupa Birliği pazarına arz etmeden önce uygun uygunluk değerlendirmesi prosedürünü gerçekleştirmelidir.
Uygulanabilir gerekliliklere uygunluk kanıtlandığında üretici Avrupa Birliği Uygunluk Beyanını hazırlar ve CE işaretini iliştirir.
Güvenlik çoğu zaman öncelikle mühendislik veya bilgi teknolojileri konusu olarak ele alınır.
Güvenlik gereklilikleri, kanıtlar ve uygunluk değerlendirmesi resmî uygunluk sürecinin bir parçası hâline gelir.
Her Ürün Aynı Uygunluk Yolunu İzlemez
Tüzük, ürüne ve sınıflandırmasına bağlı olarak farklı uygunluk değerlendirmesi seçenekleri belirlemektedir.
Birçok ürün, uygulanabilir koşulların karşılandığı durumlarda iç kontrol esaslı uygunluk yolunu kullanabilir.
Bununla birlikte Tüzük, önemli ve kritik dijital unsurlar içeren ürün kategorilerini de tanımlamakta ve bunlar için farklı veya daha kapsamlı uygunluk prosedürleri uygulanabilmektedir.
Bu nedenle doğru ürün sınıflandırması, uygunluk sürecinin erken aşamalarında verilmesi gereken önemli bir karardır.
Test ve Teknik Kanıtlar Giderek Daha Önemli Hâle Gelecek
Ürün uygunluğu nesnel kanıtlara dayanır.
Tüzüğe uygunluk açısından üreticilerin, siber güvenlik gerekliliklerinin uygun teknik dokümantasyon, mühendislik analizleri ve testler aracılığıyla nasıl uygulandığını ve doğrulandığını göstermeleri gerekebilir.
- siber güvenlik risk değerlendirmesi kayıtları;
- ürün mimarisi ve güvenlik tasarımı dokümantasyonu;
- yazılım ve bileşen bilgileri;
- güvenlik açığı analizi kayıtları;
- güvenlik doğrulaması ve geçerli kılma;
- uygun olduğu durumlarda sızma testleri veya diğer siber güvenlik testleri;
- teknik şartnameler ve uygulanabilir standartlar;
- düzeltici faaliyet ve güvenlik açığı giderme kayıtları;
- ürün talimatları ve güvenlik bilgileri; ve
- uygunluk değerlendirmesi kanıtları.
Tedarik Zinciri de Önemlidir
Çağdaş dijital ürünler nadiren tamamen tek bir üretici tarafından geliştirilen teknolojilerden oluşur.
Yazılım kütüphaneleri, gömülü bileşenler, üçüncü taraf uygulamalar, bulut hizmetleri ve dışarıdan tedarik edilen donanımların tümü nihai ürün mimarisinin bir parçası olabilir.
Bu nedenle Tüzük, tedarik zinciri siber güvenliği ve bileşen yönetimi açısından önemli sonuçlar doğurmaktadır.
Eylül 2026 Bildirim Dönüm Noktası
Tüzüğün temel yükümlülükleri 11 Aralık 2027 tarihinden itibaren uygulanacak olsa da özellikle önemli bir gereklilik çok daha erken yürürlüğe girmektedir.
11 Eylül 2026 tarihinden itibaren üreticilerin, dijital unsurlar içeren ürünlerin güvenliğini etkileyen belirli aktif olarak istismar edilen güvenlik açıklarını ve ciddi olayları bildirmeleri gerekmektedir.
Bu, kuruluşların Aralık 2027’yi önemli olan tek tarih olarak görmemeleri gerektiği anlamına gelir.
Güvenlik açığı yönetimi, üst mercilere iletme ve mevzuata ilişkin bildirim prosedürleri şimdiden ele alınmalıdır.
Siber Dayanıklılık Tüzüğü Uygulama Takvimi
Siber Dayanıklılık Tüzüğü yürürlüğe girdi.
Uygunluk değerlendirmesi kuruluşlarının bildirimiyle ilgili hükümler uygulanmaya başladı.
Belirli güvenlik açıkları ve ciddi olaylarla ilgili 14. Madde bildirim yükümlülükleri uygulanmaya başlar.
Siber Dayanıklılık Tüzüğünün temel hükümleri tamamen uygulanabilir hâle gelir.
Üreticiler Şimdi Ne Yapmalı?
Geçiş dönemi, son uygulama tarihini beklemek yerine Tüzük gerekliliklerini mevcut ürün geliştirme ve uygunluk süreçlerine dâhil etmek için kullanılmalıdır.
Dijital unsurlar içeren ürünler olarak değerlendirilebilecek donanım, yazılım ve bileşenleri belirleyin.
Ürün özelliklerini, ticari modeli, kullanım amacını ve uygulanabilir istisnaları gözden geçirin.
Ürünlerin genel, önemli veya kritik Tüzük kategorilerinden hangisine girdiğini belirleyin.
Mevcut ürün geliştirme ve güvenlik kontrollerini uygulanabilir Tüzük gereklilikleriyle karşılaştırın.
Siber güvenlik risk analizini ürün planlama, geliştirme, doğrulama ve değişiklik yönetimine dâhil edin.
Siber güvenlik gerekliliklerinin, testlerin, risk kararlarının ve uygunluk kanıtlarının gösterilebilir olmasını sağlayın.
Belirleme, giderme, güncelleme, üst mercilere iletme ve mevzuata ilişkin bildirim süreçlerini hazırlayın.
Hangi testlerin, teknik değerlendirmelerin, belgelendirmenin veya üçüncü taraf değerlendirmesinin gerekli olabileceğini belirleyin.
Siber Güvenlik Mühendisliğinden Pazara Erişime
Siber Dayanıklılık Tüzüğü, başka bir siber güvenlik düzenlemesinden çok daha fazlasını ifade etmektedir.
Siber güvenliği yerleşik ürün uygunluk değerlendirmesi alanına taşımaktadır.
Üreticilerin siber güvenlik mühendisliğini risk değerlendirmesi, ürün testleri, teknik dokümantasyon, mevzuata uygunluk, uygunluk değerlendirmesi ve CE işaretlemesiyle giderek daha fazla ilişkilendirmeleri gerekecektir.
Bu bütünleşme, ürünlerin birden fazla ülkeden bileşenler, yazılımlar, mühendislik kaynakları ve üretim faaliyetleri içerebildiği uluslararası tedarik zincirlerinde faaliyet gösteren kuruluşlar açısından özellikle önemlidir.
Bu nedenle Tüzüğe en iyi hazırlanan şirketler, siber güvenliği ayrı bir teknik çalışma olarak değil, ürün kalitesi, uygunluk ve yaşam döngüsü yönetiminin bütünleşik bir unsuru olarak ele alanlar olacaktır.
Ürün Yelpazeniz Siber Dayanıklılık Tüzüğüne Hazır mı?
Tüzüğe hazırlık, hangi ürünlerin etkilendiğinin, hangi gerekliliklerin uygulandığının ve hangi uygunluk yolunun uygun olduğunun anlaşılmasıyla başlar.
Erken yapılacak bir değerlendirme, mevzuat eksikliklerini, test gerekliliklerini, teknik dokümantasyon ihtiyaçlarını ve güvenlik açığı yönetimi yükümlülüklerini pazara erişimin önünde engel hâline gelmeden önce belirleyebilir.
Siber Dayanıklılık Tüzüğü temel bir dönüşüme işaret etmektedir: siber güvenlik, arzu edilen bir ürün özelliğinden Avrupa pazarına erişim için kanıtlanabilir bir uygunluk gerekliliğine dönüşmektedir.